日志服务rsyslog
系统日志服务，可以接受本地的很多中其他软件产生日志、甚至其他机器传输过来的日志，并且把日志进行分类分级存储起来。
rsyslog通过“设备facility”的概念来对日志进行分类，不同的分类保存到不同名字的日志中
auth用户身份和密码认证
authpriv与auth很类似，接近授权。
cron计划任务
daemon一些守护进程产生的日志
kern内核产生的日志
lpr打印服务产生的日志
mail邮件产生的日志
markrsyslog内部产生时间标记的日志
news新闻服务
syslogrsyslog自身产生的日志
user
uucpuucp服务产生的日志
local0 through local7.自定义随意便是8个设备。
日志级别：从上往下，级别越高，但记录的东西越少
debug调试级别，记录的日志是最详细的
info默认级别，能记录大部分常见的日志
notice仅仅记录值得注意的日志
warning记录警告日志
err记录错误日志，一般小错误，不影响程序继续使用
crit记录重大错误日志，大错误，一般会导致程序某个功能不能正常使用
alert记录严重错误日志 ，直接导致整个程序不能使用
emerg内核崩溃，死机级别日志
sshd --产生很多日志 ---> rsyslog:authpriv ---> 仅仅把warning已经wanging以上级别的信息记录
使用rsyslog服务：
安装rsyslog软件
保证rsyslog服务启动
配置文件/etc/rsyslog.conf <--控制日志如何记录
/etc/sysconfig/rsyslog <---决定关闭或者开启某些功能
# vim /etc/rsyslog.conf
设备.级别动作
cron.* /var/log/cron
authpriv.* /var/log/secure
*.info;mail.none;authpriv.none;cron.none /var/log/messages
mail.* -/var/log/maillog
local0.*/var/log/mylog
local1.info@192.168.29.1
例子： 把sshd的所有登录日志的日志都记录到指定日志文件中
1、sshd服务本身可以设定日志的选项
# vim /etc/ssh/sshd_config
SyslogFacility LOCAL6 《---把这里修改
如果sshd不是托管给xinetd的话，就得重启服务sshd
2、
# vim /etc/rsyslog.conf
local6.* /var/log/mysshd.log
# service rsyslog restart
例子2：更改日志的格式
# vim /etc/rsyslog.conf
#$ActionFileDefaultTemplate RSYSLOG_TraditionalFileFormat <---把原来的日志格式注释掉
$template uplformat, "%$NOW% %TIMESTAMP:8:15% %HOSTNAME% %syslogtag% %msg%\n"
$ActionFileDefaultTemplate uplformat
# service rsyslog restart
测试
# logger -t "testing" "can you see me ?"
查看/var/log/messages日志文件是否更改了格式
例子3：发送日志到远程的日志服务器
应用服务器 ----日志发送到----> 日志服务器
应用服务器：
app1.upl.com10.1.1.218
日志服务器
www.upl.com10.1.1.21
一、配置日志服务器
暂停清空防火墙的规则：
# iptables -F
# service iptables stop
# vim /etc/rsyslog.conf
$ModLoad imtcp.so<---加载tcp的日志接受模块
$InputTCPServerRun 514<---监听514端口
$template DynFile,"/var/log/system-%HOSTNAME%.log"
:rawmsg, contains, "app1" ?DynFile
:rawmsg, contains, "app1" ~ 《--- ~ 上面的规则已经匹配了如何记录日志，然后后面还有规则匹配都不会再记录该日志。
:rawmsg, contains, "app2" ?DynFile
:rawmsg, contains, "app2" ~
# service rsyslog restart
二、应用服务器
# vim /etc/rsyslog.conf
*.* @@10.1.1.21 <--- 把所有设备产生的所有级别的日志都以tcp(@@, udp@)发送到10.1.1.21的日志服务器上
# service rsyslog restart
测试
在日志服务器上：
# tailf /var/log/system-app1.log
在应用服务器上：
# logger -t "test" "I am app1"
常见的日志
/var/log/messages很多软件和服务都会把日志记录到该文件
/var/log/secure安全相关
/var/log/lastlog使用lastlog命令查看的日志文件，记录系统所有的帐号的最后一次登录时间，主要关心哪些帐号不应该登录的，却发生了登录。
/var/log/btmp使用lastb命令查看，记录所有登录失败的事件
/var/log/wtmp使用last命令查看，记录登录成功的事件
/var/log/boot.log记录开机系统启动的信息，主要是软件层面的启动信息，用于排查系统启动时候的各种故障，该文件每次启动都会被覆盖
/var/log/dmesg记录开机的时候内核加载和驱动加载的信息，每次都会被覆盖的。dmesg.old保留了上一次的信息
/var/log/maillog邮件服务的日志。
日志轮换
logrotate是系统自带的一个日志轮换的工具，它通过计划任务每天对满足条件日志文件进行轮换。
主配置文件
# vim /etc/logrotate.conf
weekly
rotate 4 会有四个旧的日志文件备份，还有另外一个当前正在使用的
create
dateext
include /etc/logrotate.d 包含子配置文件
/var/log/uplooking.log {
size 10M<---日志文件大于10M就会被轮换
create 0600 root daemon
rotate 3
}
# vim /etc/logrotate.d/syslog
。。。。。
编写好配置文件，想测试效果，可以手工执行以下命令，触发轮换工具执行，否则，该工具只会每天执行一次。
# logrotate /etc/logrotate.conf
# dd if=/dev/zero of=/var/log/uplooking.log bs=1M count=11
# logrotate /etc/logrotate.conf 《---由于日志文件已经大于10M了，所以会被论坛
# ls -lh /var/log/uplooking.log*
-rw-------. 1 root daemon 0 5月 5 16:17 /var/log/uplooking.log
-rw-------. 1 root daemon 11M 5月 5 16:16 /var/log/uplooking.log-20130505
================================================================================
